与Cisco对接标准IPsec

《与Cisco对接标准IPsec》由会员上传分享，免费在线阅读，更多相关内容在行业资料-天天文库。

1、深信服电子科技有限公司文档部如何与Cisco设备对接标准IPsec场景一、双方都有固定IP，采用主模式互连。拓扑图如下：Cisco配置命令如下：（Cisco某些版本可能配置命令不一样，但过程一样）conft//进入特权模式配置cryptoisakmpkeysinforaddress201.1.1.2//创建预共享密钥以及对端地址cryptoisakmppolicy100//创建isakmp策略（第一阶段策略）hashmd5//配置hash算法encry3des//配置加密算法group2//配置DH

2、群authpre-share//配置认证方式（预共享密钥）exit//退出isakmp策略配置access-list100permitip192.200.201.00.0.0.255192.200.119.00.0.0.255//创建ACL，类似我们的出入站策略，允许本端哪个网段出去到对端哪个网段cryptoipsectransform-setsinforvpnesp-3desesp-md5-hmac//创建变换集及策略modetunnel//配置传输模式（隧道模式）我们只支持隧道模式exit//退

3、出变换集cryptomapsinfor100ipsec-isakmp//创建IPsec策略（第二阶段）setpeer201.1.1.2//配置对端地址settransform-setsinforvpn/绑定变换集到映射图setpfsgroup2//配置密钥完美向前保护（请注意跟第一阶段DH群一样）matchaddress100//配置映射图匹配的ACL策略exit//退出配置映射图interfacee0/0//进入Cisco外网口cryptomapsinfor//将映射图绑定到接口exit//退出接

4、口配置我们的配置界面：设备列表（第一阶段）：深信服电子科技有限公司文档部安全选项（第二阶段）：深信服电子科技有限公司文档部出站策略：深信服电子科技有限公司文档部入站策略：深信服电子科技有限公司文档部场景二、我方设备拨号，Cisco固定IP，采用野蛮模式互连。拓扑图如下：Cisco配置命令如下：Conft//进入特权模式配置hostnamecisco//创建路由器名字，该名字就是它的野蛮模式身份IDcryptoisakmpkeysinforhostnamesinfor//创建预共享密钥，以及对端野蛮模

5、式身份IDcryptoisakmpidentityhostname//用hostname再次校验身份cryptoisakmppolicy100//创建isakmp策略（第一阶段策略）hashmd5//配置hash算法encry3des//配置加密算法group2//配置DH群authpre-share//配置认证方式（预共享密钥）exit//退出isakmp策略配置cryptoipsectransform-setsinforvpnesp-3desesp-md5-hmac//创建变换集及策略modet

6、unnel//配置传输模式（隧道模式）我们只支持隧道模式exit//退出变换集配置access-list100permitip192.200.201.00.0.0.255192.200.119.00.0.0.255//创建ACL，类似我们的出入站策略，允许本端哪个网段出去到对端哪个网段cryptodynamic-mapsinfor100//创建动态映射图settransform-setsinforvpn//绑定变换集到映射图setpfsgroup2//配置完美密钥向前保护（跟第一阶段一致）match

7、address100//匹配ACL策略exit//退出映射图配置cryptomapsinfor100ipsec-isakmpdynamicsinfor//创建IPsec策略（第二阶段）inte0/0//进入Cisco外网口cryptomapsinfor//将映射图绑定到接口exit//退出接口配置我们设备的配置：设备列表（第一阶段）：深信服电子科技有限公司文档部如果忘记加.则会看到如下提示：请注意提示里.的位置深信服电子科技有限公司文档部安全选项（第二阶段）：出站策略：深信服电子科技有限公司文档部入

8、站策略：深信服电子科技有限公司文档部场景三、我方设备固定IP，Cisco拨号，采用野蛮模式互连。拓扑图如下：Cicso配置命令如下：conft//进入特权模式配置cryptoisakmppolicy100//创建isakmp策略（第一阶段）hashmd5//hash算法encry3des//加密算法group2//DH群authpre-share//身份认证方式exit//退出isakmp策略配置cryptoisakmppeeraddress201.1.1.2//创建